作者：Paul S.Levy, 賽靈思功能安全系統(tǒng)高級工程師

“功能安全（Functional Safety）”研究的是機器發(fā)生故障或運行環(huán)境中斷時如何降低其對人和設備造成的危害的方法和措施。

用功能安全領域的說法，這些錯誤被稱為隨機硬件或系統(tǒng)性故障，這些誤判可能決定比賽的成敗，當然這取決于你站在比賽的哪一方，所以在理想的體育競技里，我們需要能夠預見這些可能發(fā)生的誤判問題，并及時避免。功能安全設計就是致力于解決系統(tǒng)設計中類似的問題，這些問題的代價可能是災難性的或致命的，比如機器未能檢測到那些敞開的軌排從而導致操作人員收到傷害，又或者鐵路道口出現(xiàn)故障導致火車撞上公交車。從本質上講，功能安全設計旨在試圖預測系統(tǒng)可能出現(xiàn)故障的方式，以及當故障發(fā)生時可以執(zhí)行的備用計劃。

正如人們所預期的那樣，功能安全系統(tǒng)的設計要遵循一定的標準，這些標準由官方管理機構或者被廣泛認可的權威機構制定并發(fā)布。比較著名的權威機構有UL、ISO和IEC等，他們的存在促進了安全規(guī)范的完善和更新，比如安全完整性等級（SIL）定義了降低風險的目標水平，這些權威機構的努力推動了最先進的設計，并使得很多不同的行業(yè)開始關注功能安全設計。毫無疑問，飛機和汽車就遵循了政府制定的嚴格的安全標準，比如汽車里的安全氣囊以及后視鏡設計。在房屋建造領域，房屋改造必須遵循建筑規(guī)范，新房完工后還必須通過UL認證的電氣標準。隨著技術的演進，系統(tǒng)變得越來越復雜，符合功能安全標準的行業(yè)和最終應用會越來越多，自動駕駛汽車和機器人的時代已經(jīng)到來，當然這些系統(tǒng)必須能夠證明它們不能（也不會）傷害人類。

功能安全設計很大程度上是基于對系統(tǒng)如何發(fā)生故障以及發(fā)生故障后需要采取哪些措施的深刻理解來實現(xiàn)的，這是一項非常復雜的任務，并且被認為是系統(tǒng)工程領域的難點，它涉及到的技術包括了諸多規(guī)范的設計方法。廣泛采用的一個方法是應用冗余，關鍵系統(tǒng)組件會被復制備份從而增強其可靠性。例如一個應用程序可以在兩個獨立的處理器上執(zhí)行，從而檢查輸出結果是否相同，如果一個處理器輸出的是非預期的結果，系統(tǒng)就會知道其中存在一定的錯誤。然而多組件通常會帶來成本的提升，同時也會對功耗和性能帶來挑戰(zhàn)。不過不用擔心，接下來，賽靈思系統(tǒng)工程師和架構師將會幫助大家降低這些方法的復雜性。

賽靈思根據(jù)實際情況提供了基于器件的打包式解決方案，從而幫助用戶克服功能安全系統(tǒng)設計的復雜性挑戰(zhàn)，而且能夠滿足IEC 61508、DO-254以及ISO 26262等標準所規(guī)定的各種認證要求。這種預先架構的設計和驗證解決方案可以極大的縮短公司項目的開發(fā)時間，并且消除用戶在嘗試實現(xiàn)功能過程中產(chǎn)生的相關成本花費和風險等。

對于OEM廠商來說需要做的是確定選擇哪種器件。在性能和功耗方面通用CPU和GPU確實無法與ASIC或FPGA器件競爭，尤其對于一些實時性，低延遲類的任務。片上可編程系統(tǒng)芯片（SoC），比如Xilinx Zynq UltraScale+ MPSoC則具有最高的整體性價比，在單個器件中集成多個ARM CPU，同時具有一定的靈活性和可擴展性，可以根據(jù)所執(zhí)行的不同任務動態(tài)地進行調整設計。

賽靈思器件還具備硬件隔離特性，這使得安全和非安全的任務可以同時在一塊芯片上執(zhí)行，同時，設計的更新不會干擾或接觸已經(jīng)獲得安全認證的部分。通過容錯設計來控制系統(tǒng)故障模式的能力需要一種能夠控制故障擴散的方法。賽靈思隔離設計流程（見下圖）在FPGA模塊層就提供了故障容器，支持單個芯片的容錯處理。